L’identité frauduleuse la plus difficile à détecter est peut-être celle que toutes les bases de données considèrent comme réelle.
La fraude à l’identité synthétique pose un problème particulier aux systèmes de vérification numérique.
Elle ne réussit pas toujours en contournant un contrôle précis.
Elle peut réussir simplement en accumulant suffisamment d’éléments légitimes pour passer plusieurs vérifications.
Une identité synthétique peut associer de véritables identifiants à des informations personnelles fictives, des coordonnées fonctionnelles, des adresses réelles et d’autres éléments plausibles.
Si cette identité parvient à entrer dans des systèmes légitimes, elle peut ensuite accumuler des comptes, des transactions et des traces numériques qui donnent progressivement l’apparence d’une personne bien établie.
Avec le temps, ce qui n’était au départ qu’une identité construite peut acquérir quelque chose de beaucoup plus difficile à remettre en cause :
un historique qui paraît parfaitement légitime.
Une organisation peut alors se retrouver face à une identité soutenue par des informations valides, des comptes actifs et des données présentes dans plusieurs systèmes reconnus.
Chaque élément peut être authentique.
Mais la personne que l’ensemble de ces éléments semble décrire peut, elle, ne jamais avoir existé.
C’est là que se révèle l’une des principales faiblesses de la confiance numérique.
Les systèmes de vérification savent généralement très bien confirmer qu’une information existe.
La fraude à l’identité synthétique oblige à poser une autre question :
Ces informations appartiennent-elles réellement à la même personne ?
Qu’est-ce que la fraude à l’identité synthétique ?
La fraude à l’identité synthétique consiste à créer une identité à partir d’un mélange d’informations réelles et fictives, plutôt qu’à usurper entièrement l’identité d’une personne existante.
La Réserve fédérale américaine définit cette fraude comme l’utilisation combinée de données personnelles permettant de construire une personne ou une entité fictive à des fins frauduleuses.
Un identifiant légitime peut, par exemple, être associé à un nom inventé, une adresse fictive ou une date de naissance fabriquée afin de créer une nouvelle identité.
C’est ce qui distingue fondamentalement la fraude à l’identité synthétique de l’usurpation d’identité classique.
Dans le cas d’une usurpation, le fraudeur cherche à se faire passer pour une personne qui existe réellement.
Dans le cas d’une identité synthétique, l’objectif est de convaincre les systèmes qu’une personne construite de toutes pièces existe réellement.
Cette différence change profondément ce que la vérification doit établir.
Détecter qu’une information a été volée ne suffit plus lorsque certains éléments peuvent être parfaitement authentiques, alors que l’identité créée à partir de ces éléments ne l’est pas.
Des informations valides peuvent malgré tout former une fausse identité
Imaginons une identité soutenue par plusieurs éléments apparemment crédibles.
L’identifiant est valide.
L’adresse existe.
Le numéro de téléphone fonctionne.
L’adresse e-mail est active.
Des informations correspondantes apparaissent dans des sources externes.
Pris séparément, aucun de ces éléments ne semble forcément suspect.
C’est précisément cette faiblesse que la fraude à l’identité synthétique exploite :
une information valide et une identité valide ne sont pas la même chose.
Un processus conçu principalement pour confirmer les différents éléments d’une identité peut donc produire un résultat trompeur.
Plusieurs contrôles peuvent être positifs tout en soutenant, collectivement, une identité qui a été artificiellement construite.
Chaque contrôle a pourtant pu fonctionner exactement comme prévu.
Le problème n’est pas nécessairement que les vérifications ont échoué.
Le problème réside dans l’hypothèse selon laquelle plusieurs résultats positifs décrivent automatiquement une seule et même personne réelle.
Une identité synthétique se construit plus qu’elle ne s’invente
Il peut être tentant d’imaginer une identité synthétique comme un faux profil créé entièrement de zéro.
En réalité, sa construction peut être beaucoup plus sophistiquée.
Un fraudeur peut commencer par utiliser des informations authentiques issues d’une fuite de données ou d’une autre source compromise.
Il peut ensuite les associer à des informations personnelles fictives, de nouvelles coordonnées ou d’autres éléments créés spécialement pour cette identité.
Certaines données peuvent appartenir à de vraies personnes.
D’autres peuvent avoir été entièrement fabriquées.
Le résultat se situe quelque part entre la falsification et l’usurpation d’identité.
Il n’y a pas nécessairement une victime unique dont toute l’identité aurait été volée.
Et il n’existe pas forcément un seul champ faux capable de révéler l’ensemble de la fraude.
Le système rencontre au contraire une série d’éléments plausibles, précisément parce qu’une partie d’entre eux est réellement authentique.
La disponibilité croissante de données personnelles compromises rend ce type de construction plus facile.
L’IA générative ajoute encore une capacité supplémentaire en permettant d’organiser ces éléments plus facilement et de produire des contenus cohérents autour de l’identité créée.
Mais l’IA n’est pas la faiblesse fondamentale.
Elle accélère surtout un problème déjà existant :
prendre des preuves fragmentées pour une identité cohérente.
Le véritable risque apparaît lorsqu’une fausse identité se construit un historique
Une identité synthétique nouvellement créée possède généralement peu de crédibilité au départ.
Mais si elle parvient à passer ses premières interactions avec des systèmes légitimes, la situation peut rapidement changer.
Les fraudeurs peuvent laisser cette identité « mûrir » en ouvrant des comptes, en réalisant des opérations apparemment ordinaires et en accumulant progressivement des traces associées à ce profil.
Dans la fraude financière, ce mécanisme peut servir à construire progressivement une solvabilité avant d’exploiter brutalement les lignes de crédit disponibles.
Mais du point de vue de l’identité, ce qui se passe avant la fraude finale est particulièrement important.
Chaque interaction légitime laisse une nouvelle trace crédible.
Les comptes prennent de l’ancienneté.
Les transactions créent un historique.
De nouvelles données apparaissent dans des systèmes externes.
L’identité devient progressivement visible dans davantage de bases.
Les futurs systèmes de vérification peuvent alors rencontrer ces données et les interpréter comme de nouvelles preuves de légitimité.
Cela crée une boucle particulièrement dangereuse.
Une identité synthétique passe suffisamment de contrôles pour entrer dans des systèmes légitimes.
Ces systèmes génèrent ensuite de vraies données à son sujet.
Et ces données rendent l’identité encore plus facile à valider ailleurs.
Autrement dit :
l’historique lui-même peut devenir une partie de la fraude.
Plus une identité synthétique survit longtemps, moins elle paraît synthétique.
Quand les bases de données renforcent involontairement la fraude
La vérification par bases de données reste essentielle dans l’évaluation moderne de l’identité.
Elle permet de comparer les informations fournies avec des données indépendantes.
Mais la fraude à l’identité synthétique révèle une différence importante entre confirmer un enregistrement et confirmer une personne.
Une base de données peut confirmer avec précision qu’un compte existe.
Elle ne peut pas nécessairement expliquer pourquoi ce compte a été créé ni si l’identité à l’origine de ce compte était légitime dès le départ.
De la même manière, un historique de crédit peut contenir de véritables transactions.
Une adresse peut être réelle.
Un numéro de téléphone peut être actif.
Pour autant, ces éléments ne prouvent pas nécessairement qu’ils appartiennent réellement à la personne revendiquée.
Lorsqu’une identité synthétique a déjà pénétré des systèmes légitimes, les correspondances obtenues plus tard peuvent donc renforcer l’empreinte créée par les premières tromperies.
Cela ne signifie pas que les bases de données sont peu fiables.
Cela signifie simplement que l’existence d’un enregistrement et l’authenticité d’une identité répondent à deux questions différentes.
Un enregistrement peut être parfaitement authentique alors que la conclusion qu’on en tire est erronée.
Pour les équipes de vérification, cette distinction devient essentielle.
Accumuler davantage de correspondances dans des bases de données ne permet pas automatiquement de supprimer l’incertitude.
Les relations entre ces données comptent autant que leur existence.
Passer de l’existence à la cohérence de l’identité
La fraude à l’identité synthétique montre qu’il ne suffit plus de vérifier séparément chaque attribut.
Une approche plus robuste consiste à examiner :
si les informations existent ;
si elles sont réellement liées entre elles ;
si leur historique est plausible ;
si elles décrivent, dans leur ensemble, une personne cohérente.
On peut résumer cette logique ainsi :
Existence → Connexion → Historique → Cohérence
1. Existence : les informations peuvent-elles être vérifiées ?
Le premier niveau consiste à déterminer si les données présentées ont une existence indépendante.
Une adresse peut être confirmée.
Un identifiant peut être légitime.
Des coordonnées peuvent fonctionner.
Des enregistrements peuvent apparaître dans des sources reconnues.
Ces éléments restent utiles, car une information entièrement fictive laisse souvent des incohérences.
Mais la fraude à l’identité synthétique montre pourquoi cette étape, à elle seule, ne suffit pas.
La vérification doit aller plus loin et examiner la manière dont ces éléments se rattachent les uns aux autres.
2. Connexion : ces informations appartiennent-elles réellement à la même personne ?
Un identifiant légitime et une adresse réelle constituent des preuves plus fortes lorsqu’il existe un lien crédible entre les deux.
La connexion consiste justement à analyser ces relations.
Il ne s’agit plus seulement de vérifier que chaque élément existe quelque part.
Il faut déterminer s’ils peuvent raisonnablement être rattachés à une seule et même personne.
C’est ici que de petites incohérences peuvent prendre davantage d’importance.
Une anomalie isolée ne prouve pas nécessairement une fraude.
Mais des relations contradictoires entre plusieurs informations pourtant légitimes peuvent justifier une analyse plus approfondie.
3. Historique : l’évolution de l’identité est-elle crédible ?
Un historique établi peut renforcer la confiance.
Mais dans le contexte des identités synthétiques, son existence ne doit pas être automatiquement assimilée à une preuve de légitimité.
Il faut aussi regarder comment cet historique s’est construit.
À quel moment certains éléments sont-ils apparus ?
Les données se sont-elles développées dans un ordre logique ?
Des changements importants sont-ils apparus brutalement ?
L’empreinte numérique de l’identité semble-t-elle s’être construite naturellement ?
L’objectif n’est donc pas seulement de confirmer qu’un historique existe.
Il s’agit de savoir si cet historique est lui-même crédible.
4. Cohérence : toutes les preuves décrivent-elles une seule personne réelle ?
La cohérence réunit les trois dimensions précédentes.
Une identité peut contenir des informations valides, des enregistrements reliés entre eux et un historique établi.
Mais l’ensemble peut encore révéler des contradictions.
La question finale devient alors :
Toutes ces preuves soutiennent-elles réellement l’existence d’une seule personne ?
C’est ce qui distingue fondamentalement la détection d’une identité synthétique de la simple recherche d’une donnée falsifiée.
Une identité synthétique devient beaucoup plus difficile à faire passer lorsqu’on exige que les preuves concordent, et non qu’elles réussissent simplement leurs contrôles séparément.
L’IA générative facilite la création d’identités cohérentes
La fraude à l’identité synthétique existait avant l’IA générative.
Mais l’IA peut fortement réduire l’effort nécessaire pour construire et maintenir une identité crédible.
Autrefois, il fallait beaucoup de travail pour garantir une cohérence sur plusieurs points de contact.
Les informations personnelles devaient rester cohérentes.
Les justificatifs devaient correspondre.
Les communications devaient rester plausibles.
Les documents créés devaient résister aux vérifications.
L’IA générative permet aujourd’hui de produire plus facilement des informations complémentaires, des messages, des images ou d’autres éléments numériques tout en maintenant une cohérence beaucoup plus grande.
L’évolution importante n’est donc pas seulement la création d’un document ou d’une image par IA.
C’est la capacité à maintenir une identité cohérente à grande échelle.
Cela élève le niveau d’exigence en matière de détection.
À mesure que les identités fabriquées deviennent meilleures pour éviter les contradictions évidentes, les organisations doivent accorder davantage d’attention :
aux relations qui ne tiennent pas ;
aux historiques qui évoluent de manière inhabituelle ;
aux preuves qui ne convergent pas vers une personne crédible.
Les silos organisationnels peuvent favoriser la fraude
Les éléments nécessaires pour identifier une identité synthétique ne se trouvent pas toujours dans un seul système ni au sein d’une seule équipe.
L’équipe d’onboarding peut voir les informations de candidature et les premiers justificatifs.
Un prestataire de vérification peut analyser les documents et les données personnelles.
L’équipe fraude peut détecter plus tard un comportement inhabituel.
La conformité peut relever d’autres indicateurs.
Les équipes financières peuvent finir par constater l’impact économique.
Chaque fonction peut donc détenir une partie légitime du problème sans jamais voir l’ensemble.
C’est particulièrement problématique pour les identités synthétiques, car chaque événement pris séparément peut paraître parfaitement normal.
La demande initiale semble cohérente.
Les informations correspondent à certaines bases.
Le compte se comporte normalement pendant plusieurs mois.
Puis, lorsque le comportement frauduleux devient évident, l’identité a déjà accumulé davantage de crédibilité.
La détection de la fraude à l’identité synthétique est donc autant un enjeu organisationnel que technologique.
Disposer de davantage de données ne suffit pas si l’entreprise n’est pas capable de rapprocher les informations obtenues au fil de la vie de l’identité.
Pourquoi la décision d’onboarding est déterminante
L’onboarding est souvent considéré comme une porte d’entrée :
vérifier l’identité, approuver la demande, puis permettre à la relation de commencer.
La fraude à l’identité synthétique rend cette décision initiale beaucoup plus importante qu’elle n’y paraît.
Lorsqu’une organisation accepte une identité dans un environnement légitime, elle peut commencer à produire de nouvelles preuves associées à cette identité.
Des comptes sont créés.
Des transactions sont réalisées.
Des données sont enregistrées.
Des relations sont établies.
Une simple décision d’onboarding peut donc contribuer à renforcer la crédibilité future de l’identité.
Cela signifie qu’une organisation ne décide pas uniquement si elle peut faire confiance aux preuves disponibles au moment de l’onboarding.
Dans certains cas, elle décide également si elle va contribuer à créer de nouvelles preuves de légitimité autour de cette identité.
Attendre qu’une identité se comporte comme une fraude peut donc être trop tardif.
À ce stade, elle peut déjà avoir construit suffisamment de crédibilité pour devenir beaucoup plus difficile à remettre en cause.
La détection doit examiner les relations, pas seulement les signaux d’alerte
La détection traditionnelle de la fraude se concentre souvent sur des signaux suspects :
une donnée fausse ;
un document inhabituel ;
une contradiction ;
un comportement anormal.
Ces signaux restent utiles.
Mais la fraude à l’identité synthétique exige une approche plus large, car les différents éléments qui composent l’identité peuvent être parfaitement légitimes.
La détection doit donc s’intéresser davantage :
aux relations entre les informations ;
aux tendances ;
à la chronologie ;
à la manière dont l’identité s’est construite.
Les organisations peuvent examiner si les différents attributs ont des historiques cohérents, si des identités supposées indépendantes partagent des coordonnées ou des appareils inhabituels, si les données sont apparues dans un ordre plausible ou si certaines associations seraient peu probables dans un contexte normal.
La question n’est donc plus seulement :
« Quelle information est fausse ? »
Mais plutôt :
« Quelle relation, dans cette identité, ne tient pas ? »
Car la principale faiblesse d’une identité synthétique peut ne se trouver dans aucune donnée prise isolément.
Elle peut se trouver dans les liens entre les données.
Quel rôle pour la vérification de l’identité ?
La vérification d’identité reste une composante importante de la lutte contre la fraude à l’identité synthétique.
Mais aucun contrôle unique ne peut résoudre à lui seul l’ensemble du problème.
Chaque vérification apporte un type de preuve différent.
La validation documentaire peut aider à déterminer si un document d’identité est techniquement et structurellement crédible.
La vérification de données structurées peut révéler des contradictions entre les informations fournies et les caractéristiques attendues du document ou de l’identité.
La comparaison biométrique permet de renforcer le lien entre la personne qui réalise la vérification et l’identité présentée.
D’autres sources indépendantes peuvent ensuite confirmer ou remettre en cause les relations entre différents attributs.
La valeur vient de la combinaison de ces résultats, et non du fait de considérer chaque contrôle positif comme une preuve indépendante de légitimité.
Lorsque plusieurs éléments se contredisent, une analyse humaine ciblée peut apporter un niveau supplémentaire d’évaluation en tenant compte du contexte, de la juridiction et des explications possibles.
L’objectif n’est pas de trouver un contrôle parfait capable d’identifier toutes les identités synthétiques.
Il est de réduire les zones de faiblesse entre des contrôles qui, pris isolément, peuvent paraître suffisants.
Comment iCOVER renforce la validation de l’identité
Cette approche est au cœur de la Validation d’identité biométrique d’iCOVER.
La solution associe la validation du document d’identité, la comparaison biométrique du visage et des contrôles de données structurées afin de renforcer le lien entre une personne et les preuves d’identité qu’elle présente.
L’OCR permet d’extraire et de vérifier les informations contenues dans le document.
Les contrôles MRZ et codes-barres apportent des vérifications supplémentaires sur la cohérence et la structure attendue du document.
La comparaison biométrique permet de vérifier si la personne correspond à la photographie présente sur le document d’identité.
Des capacités de détection de fraude complètent également le processus afin de mieux identifier les tentatives de manipulation.
Lorsque l’analyse automatisée révèle des incohérences ou des éléments contradictoires, les dossiers peuvent être transmis à une revue manuelle experte plutôt que de s’appuyer uniquement sur une décision automatisée binaire.
Pour les situations nécessitant un niveau d’assurance plus élevé, la Validation renforcée d’identité biométrique complète cette approche avec des sources de vérification et des éléments de preuve supplémentaires adaptés à la juridiction concernée.
Pour certains cas d’usage au Royaume-Uni, cela peut notamment inclure des technologies de validation des documents d’identité conformes au UK Digital Identity and Attributes Trust Framework, ainsi que des éléments complémentaires tels que la vérification de l’historique d’adresse.
Ces différentes capacités contribuent à une évaluation plus complète de l’identité.
Elles ne cherchent pas à résoudre la fraude à l’identité synthétique au moyen d’un contrôle unique.
La question centrale reste la même :
L’identité tient-elle réellement dans son ensemble ?
La confiance numérique doit aller au-delà de ce que disent les bases de données
La fraude à l’identité synthétique révèle une faiblesse plus profonde dans la manière dont la confiance numérique est construite.
Les systèmes numériques accordent naturellement beaucoup d’importance aux enregistrements existants.
Un compte dans une base.
Un historique de crédit dans une autre.
Des coordonnées identiques dans plusieurs sources.
Tous ces éléments peuvent renforcer la confiance.
Mais le problème est que ces informations peuvent être parfaitement légitimes tandis que la conclusion tirée de leur combinaison reste fausse.
Lorsqu’une identité construite fonctionne suffisamment longtemps, elle peut accumuler de véritables données dans des systèmes reconnus.
Elle crée alors progressivement une empreinte numérique que les futurs contrôles peuvent interpréter comme une preuve d’authenticité.
Il existe donc une différence fondamentale entre :
la vérité des données et la vérité de l’identité.
Une base de données peut confirmer avec précision qu’un compte existe.
Elle ne prouve pas pour autant que la personne décrite par l’ensemble des données existe réellement sous cette forme.
Pour que la confiance numérique reste pertinente, la vérification doit donc aller au-delà de l’accumulation de correspondances positives.
Elle doit examiner :
la relation entre les données ;
leur chronologie ;
leur cohérence globale.
Les différents attributs sont-ils crédibles ?
Sont-ils réellement liés entre eux ?
L’identité s’est-elle construite de manière plausible ?
L’ensemble des éléments décrit-il réellement une seule personne ?
La fraude à l’identité synthétique rend ces questions de plus en plus importantes, car les identités les plus sophistiquées peuvent finir par ne plus sembler synthétiques du tout.
Elles peuvent accumuler des comptes, des données et un historique jusqu’à être reconnues de manière répétée par des systèmes légitimes.
Et pourtant, la personne au centre de toutes ces informations peut ne jamais avoir existé.
